क्या मैं पागल हूँ, या कॉर्पोरेट फायरवॉल पूरे देश में सेंसर कर रहे हैं? [बन्द है]

Question

हाल ही में, पिछले वर्ष या तो, मैंने देखा है कि कुछ विशेष प्रकार की साइटों, विशेष रूप से ईरान या रूस जैसे गैर-इष्ट राष्ट्रों तक पहुँचना अधिक कठिन है।

उदाहरण के लिए, अभी-अभी मैंने रूसी रक्षा मंत्रालय की वेब साइट ( http://eng.mil.ru/en/index.htm ), एक ऐसी साइट पर पहुँचने की कोशिश की , जिसके पास मेरे पास आने-जाने के लिए वैध व्यवसाय-संबंधी कारण हैं, और यह समय समाप्त हो गया। मैंने यूरोपीय प्रॉक्सी के माध्यम से एक ही साइट की कोशिश की और कनेक्ट करने में कोई समस्या नहीं हुई। मैंने तब एक ट्रेस की कोशिश की और यह परिणाम था:

मेरी व्याख्या यह है कि कंपनी फ़ायरवॉल द्वारा आईपी को अवरुद्ध किया जा रहा है। मैंने हमारे आईटी विभाग से पूछा कि नेटवर्क के लिए आईपी ब्लॉकिंग नीति क्या है और कहा गया था कि पॉलिसी हमारी कंपनी द्वारा निर्धारित नहीं है, लेकिन फ़ायरवॉल सेवा प्रदाता द्वारा और यह प्रदाता के लिए "गुप्त और मालिकाना" है और वे (मतलब) आईटी) का उस नीति पर कोई नियंत्रण नहीं था।

यहाँ क्या कहानी है? क्या फ़ायरवॉल उत्पाद विक्रेता पूरे देश में सिर्फ कंबल बंद कर रहे हैं?

बस गिगल्स के लिए मैंने अलग-अलग देशों में यह देखने का प्रयास करने का फैसला किया कि क्या होगा:

Finland       ok
Poland        ok
Russia        blocked
Ukraine       blocked
Estonia       blocked
Turkey        blocked
Saudi Arabia  blocked
Afghanistan   ok
Iraq          blocked
Georgia       ok
Armenia       blocked
Uzbekistan    ok

ठीक है, इसलिए मैं उजबेकिस्तान और जॉर्जिया में वेब साइटों पर जा सकता हूं, लेकिन आर्मेनिया या यूक्रेन में नहीं? यह तर्क कौन बना रहा है?

Comments

कंटेंट फ़िल्टरिंग के साथ घुसपैठ का पता लगाने की प्रणाली का क्या करना है? आपके आईटी विभागों की प्रतिक्रिया पूरी तरह से बकवास है। एक आईडीएस और एक फ़ायरवॉल

— सैंपलिंग

यह सब वास्तव में मनमाना है और idiosyncratic आवश्यकताओं पर आधारित है। लेकिन मैं यह कहूंगा: मैं अमेरिका में काम करता हूं और अमेरिकी कंपनियों के लिए काम किया है, जिनकी वेब संपत्तियों का अमेरिका के बाहर किसी के लिए कोई मूल्य नहीं है और यह आमतौर पर अनुरोध किया गया है कि कुछ सर्वर-स्तरीय फ़िल्टरिंग पूरे देशों और आईपी रेंज को अवरुद्ध करने के लिए होती है सेंसरशिप के कारण नहीं, बल्कि इस तथ्य के आधार पर व्यावहारिक ज़रूरतों के आधार पर कि उनकी साइट लगातार जांच की जाएगी - और अक्सर उन पर मैलवेयर संक्रमण होता है - जो कि विशिष्ट देशों या आईपी रेंज में पता लगाया जा सकता है। तो यह वास्तव में आधुनिक इंटरनेट की दुनिया की स्थिति है।

— जेकगोल्ड

मैंने क्षेत्रीय ब्लॉकिंग को स्वयं चुनिंदा ब्लैकहोलिंग के उपयोग से कार्यान्वित किया है ताकि डीडीओएस बाढ़ के प्रभाव को कम किया जा सके जब मुझे पता था कि ग्राहक आधार का विशाल बहुमत भौगोलिक रूप से सीमित है। बहुत प्रभावी लेकिन संभवत: मदद नहीं करेगा अगर आप किसी चीज़ का प्रकोप आकर्षित करें जैसे

— दिमित्री डीबी

यह उस तरह के ब्लॉक करने के लिए एक स्तरित रक्षा योजना का एक मानक हिस्सा है। यह स्पष्ट रूप से सीमाएं हैं, लेकिन एक बड़ी समग्र योजना का हिस्सा है। यहां तक ​​कि 90 के दशक के अंत में जब मैं काम कर रहा था तब केवल 56k पट्टे की लाइनें थीं (या कभी-कभी सुपर फास्ट टी -1!)। आप निश्चित रूप से वैश्विक कंपनियों के लिए इसे देखने की संभावना नहीं रखेंगे, लेकिन छोटे, क्षेत्रीय प्रकार की कंपनियों के लिए काफी समय से मानक है।

— ब्रायन नोब्लुक

यह बल्कि दिलचस्प है कि उस सूची में एस्टोनिया क्यों है।

— सर्ज बॉर्श

Answer 1

मैंने विभिन्न प्रकार के विक्रेताओं को मूल देश के आधार पर सामग्री फ़िल्टरिंग करते देखा है। चीन और रूस आम तौर पर फ़िल्टरिंग के साथ डिफ़ॉल्ट रूप से चालू होते हैं, या कम से कम किसी प्रकार की चेतावनी सेट अप करते हैं। ऐसा इसलिए है क्योंकि वे अक्सर मैलवेयर के हमलों के स्रोत होते हैं। मैं यह नहीं खरीदता कि आपके आईटी विभाग का इस पर कोई नियंत्रण नहीं है। नमक के लायक कोई भी विक्रेता आपको अपने उत्पादों पर डिफ़ॉल्ट सेटिंग्स को संशोधित करने देगा।

Comments

मुझे यकीन है कि अगर मुझे कुछ निचले स्तर के कर्मचारी को सुनने की तुलना में बेहतर चीजें मिल जाती हैं और मैं बीओएफएच कर रहा हूं, तो मैं उन्हें अपने चेहरे से हटने के लिए कुछ तकनीकी चीज़ थूक दूंगा ताकि मैं वापस आ सकूं मैं क्या कर रहा हूँ

— दिमित्री DB

हां, मैं आपको जरूर सुनाता हूं। मुझे उपयोगकर्ताओं को चीजों को समझाने से नफरत है जब वे एक कारण के लिए पूछते हैं कि कुछ ऐसा क्यों है, क्योंकि यह उन लोगों के लिए पानी के बीच की रेखा है जो वे समझ सकते हैं कि बनाम उनके बारे में बात करने के लिए असंभव है।

— चार्ल्स बर्ज

Answer 2

यह संभवतः आईडीएस / आईपीएस के स्तर पर नहीं किया जाता है, बल्कि फ़ायरवॉल स्तर (वाया आईपी सूची अवरुद्ध, कम प्रभावी का प्रकार) या चयनात्मक ब्लैकहोलिंग के रूप में ज्ञात विधि के साथ अनुमार्गण स्तर (अत्यधिक प्रभावी और मार्ग को अवरुद्ध करता है) यहां तक ​​कि आपके राउटर के माध्यम से आना)।

इसके पीछे तर्क स्पष्ट नहीं है - शायद इसलिए कि आपके द्वारा सूचीबद्ध देश अक्सर हमलों के स्रोत होते हैं, हालांकि वास्तव में अमेरिका से अधिक नहीं है, और निर्धारित हमलावर आगे बढ़ेंगे और उस मामले में किसी भी रास्ते को दरकिनार करेंगे ... यदि आप कर रहे हैं एक बड़े पर्याप्त संगठन में काम कर रहे हैं - वे पागल हैं - किसी तरह खुद को वहां से उत्पन्न होने वाले आईपी से होने वाले खतरों के बारे में। किसी भी तरह से यह कई इरादों और उद्देश्यों के लिए एक स्टॉपगैप सुरक्षा उपाय है, और आपके पास अपने बारे में कुछ भी नहीं है। सुरंग या छद्म!

Comments

यह एक अजीब समाधान है, हालांकि - आप मूल रूप से किसी को फ़ायरवॉल को बायपास करने के लिए प्रोत्साहित कर रहे हैं जब फ़ायरवॉल को अपना काम करना चाहिए। यदि फ़ायरवॉल सही ढंग से काम नहीं कर रहा है और इसे ठीक नहीं किया जा सकता है, तो लगता है कि यह चक करने का समय है।

— ओल्डमुड0

यह करने के लिए उसके लिए बहुत अच्छा होगा, लेकिन यह बहुत स्पष्ट है यदि आप पढ़ते हैं कि इस व्यक्ति ने क्या कहा कि वे निर्णय लेने की क्षमता में काम नहीं करते हैं जो आपने सुझाया था, उसके अंत में प्रभाव डालते हैं और ऐसा लगता है उसे अपना काम करने की ज़रूरत है, इसलिए ...

— दिमित्री डीबी

मेरी पिछली नौकरी में मेरे नेटवर्क में कई अन्य प्रतिबंधित सेवाओं के साथ प्याज राउटर या वीपीएन आदि का उपयोग करने से रोकने के लिए जियो ब्लॉकिंग और एप्लिकेशन ब्लॉकिंग दोनों थे। एक तर्क यह है कि हां, कुछ देश कम विनियमित वातावरण में बड़ी संख्या में बुरे अभिनेताओं के घर हैं, जबकि ऐसी जगहें भी नहीं हैं जहां हम कभी भी वैध यातायात भेजते हैं, इसलिए पूरी तरह से प्रतिबंध लगाने से सुरक्षा पर सकारात्मक प्रभाव पड़ता है, जो प्रयोज्य के लिए लगभग हानिकारक है। । आप अपने स्मार्टफोन से अपने यूक्रेनी परिवार के सदस्यों को ईमेल कर सकते हैं।

— टॉड विलकॉक्स

"यह हो सकता है कि यदि आप एक बड़े पर्याप्त संगठन में काम कर रहे हैं, तो वे किसी तरह खुद को वहां से उत्पन्न होने वाले आईपी से होने वाले खतरों के बारे में पागल कर रहे हैं।" या यह कार्गो पंथ सुरक्षा हो सकता है।

— jpmc26

Answer 3

कुछ देशों से जुड़े आईपी एड्रेस रेंज को ब्लॉक करने के लिए आईपी जियो-लोकेशन का उपयोग करना पूरी तरह से संभव है। इस बारे में बहुत बहस है कि यह कितना प्रभावी है और मैं निश्चित रूप से किसी पर आंख बंद करके सुझाव नहीं दूंगा, लेकिन यह एक व्यवसाय के लिए है कि वह खुद के लिए निर्धारित करे या नहीं, किसी विशेष क्षेत्र से उत्पन्न कंपनियों के साथ वैध व्यवसाय है या नहीं जोखिम उस क्षेत्र से जुड़े अवरोधन सीमाओं के होते हैं जो उन पतों को अवरुद्ध नहीं करने के जोखिम हैं।

हालांकि भू-अवरोधक निर्धारित हमलावरों को नहीं रोकेगा, यह इस स्थान से आपके नेटवर्क पर हमला करने की जटिलता को बढ़ाता है (और ध्यान रखें कि इसका मतलब उस स्थान से botnet सदस्य हो सकता है) और इससे "पृष्ठभूमि शोर" की मात्रा भी कम हो सकती है आकस्मिक हमलावर और स्क्रिप्ट किडीज, और अधिक निर्धारित हमलों को देखना आसान बनाता है।

यह उदाहरण सोनिकवॉल नॉलेज बेस आलेख से है कि इस प्रकार के फ़िल्टर कैसे सेट करें।

किसी भी मामले में, अगर आपको किसी अवरुद्ध देश में किसी व्यवसाय से जुड़ने की आवश्यकता है, तो मैं सुझाव देने के लिए फ़ायरवॉल के चारों ओर छींकने की कोशिश नहीं करता हूं, जैसा कि अन्य उत्तरों में सुझाया गया है, लेकिन इसे एक प्रबंधन मुद्दा बनाने के लिए: अपने प्रबंधक से बात करें , आईटी विभाग के प्रबंधक से बात करने के लिए उन्हें प्राप्त करें और यह स्पष्ट करें कि ऐसी पहुँच की अनुमति देने के लिए व्यावसायिक आवश्यकता है। यह अत्यधिक संभावना नहीं है कि इस प्रकार के ब्लॉकों को कॉन्फ़िगर करने का कोई तरीका नहीं है, और ऑफ-मौका पर कि किसी प्रकार की सुरक्षा घटना है और आपके द्वारा उन ब्लॉकों के आसपास काम करने का प्रयास जो कॉर्पोरेट आईटी नीति का हिस्सा हैं, का पता लगाया जाता है, आप अत्यधिक हैं सुरक्षा उल्लंघन के लिए दोष को पकड़े रहने की संभावना है।

Comments

आप जो कहते हैं उससे सहमत हैं। कम से कम आईटी को रूसी रक्षा मंत्रालय या अन्य साइट पर श्वेतसूची में सक्षम होना चाहिए जो ओपी को एक्सेस की आवश्यकता है

— chue x

मैं उन अधिकांश मेगाकॉर्प्स की गिनती कर सकता हूं, जिन्होंने उस तरह के अनुरोध के रूप में काम किया है, जो आपको प्रबंधन से एक कठिन समय देता है और ऐसा कभी नहीं हो सकता है, और छोटे orgs में ऐसा कुछ हो सकता है जो अधिक टिकाऊ हो। आइए, उनके द्वारा काम की जाने वाली बड़ी कंपनियों में से एक को अवरुद्ध करने के समय को गिनते हैं और इसने प्रबंधन को इस दोस्त की फ़ेसबुक प्रोफ़ाइल की भी जाँच नहीं करने के लिए प्रेरित किया जो सब कुछ गड़बड़ कर रहा था - वह अपनी सार्वजनिक तस्वीरों के एमओएसटी में परमानंद पर स्पष्ट रूप से उच्च था

— दिमित्री डीबी

खैर यह आपका फैसला है @DmitriDB, जाहिर है। मैं मांग नहीं करूंगा कि मेरे प्रबंधक " x को अनवरोधित करने के लिए आईटी प्राप्त करें "। मैं फिर भी एक लिखित ज्ञापन में कहूंगा, "असाइनमेंट फू को पूरा करने के लिए , मुझे साइट बार तक पहुंचने की आवश्यकता है जो वर्तमान में कॉर्पोरेट नीति के अनुसार अवरुद्ध है। आप कैसे सुझाव देते हैं कि हम आगे बढ़ें?"। आखिरकार (और अब के लिए भू-अवरोधक की प्रभावशीलता पर बहस को एक तरफ रखकर) व्यापार अच्छी तरह से तय कर सकता है कि किसी देश को अनब्लॉक करने का जोखिम कार्य पूरा न होने के जोखिमों से अधिक है। उस पर गर्मी लेने के लिए आपके प्रबंधक को भुगतान किया जा रहा है। उन्हें करने दो।

— रोब मोइर

मुझे याद है कि मुझे इस तरह की बातों के लिए चिल्लाया जाता है। शायद इसलिए मैंने सालों तक कभी मेगाकॉर्प में काम नहीं किया

— दिमित्री डीबी